DMARC yozuvi domeningiz nomidan yuborilgan xatlarni qabul qiluvchi pochta serverlari qanday tekshirishi va soxta xatlar bilan nima qilishi kerakligini belgilaydi. U SPF va DKIM ustiga quriladi: bu ikki mexanizm xatning haqiqiyligini tekshiradi, DMARC esa natijani "From" maydonidagi domen bilan solishtiradi va siyosatni e'lon qiladi. Muammo shundaki, ko'p kompaniyalar DMARC'ni bir kunda p=reject bilan yoqib yuboradi va ertasiga hisob-fakturalar, saytdagi buyurtma xabarlari yoki CRM tarqatmalari mijozlarga yetib bormay qoladi. Shuning uchun DMARC'ni bosqichma-bosqich, hisobotlarga tayanib joriy etish kerak.
DMARC yozuvi qanday tuzilgan
DMARC oddiy TXT yozuv bo'lib, u domenning o'zida emas, _dmarc subdomenida joylashadi. Masalan, example.uz uchun yozuv nomi _dmarc.example.uz bo'ladi. Yozuv ichida nuqtali vergul bilan ajratilgan teglar bor va ularning har biri aniq vazifani bajaradi. Eng muhimi p tegi bo'lib, u uch qiymatdan birini oladi: none faqat kuzatish, quarantine shubhali xatni spam papkasiga yuborish, reject esa uni butunlay rad etishni bildiradi.
_dmarc.example.uz. IN TXT "v=DMARC1; p=none; rua=mailto:dmarc@example.uz; fo=1"Bu yerda rua tegi agregat hisobotlar qaysi manzilga yuborilishini ko'rsatadi. Gmail, Yahoo va boshqa yirik provayderlar odatda kuniga bir marta XML formatdagi hisobot yuboradi: unda qaysi IP manzildan domeningiz nomidan nechta xat kelgani, SPF va DKIM natijalari va moslik (alignment) holati yoziladi. fo=1 tegi esa batafsil xatolik hisobotlari uchun mo'ljallangan, lekin ko'p provayderlar ularni umuman yubormaydi, shuning uchun asosiy tayanch agregat hisobotlardir.
1-bosqich: p=none bilan kuzatishni boshlash
Birinchi bosqichda hech qanday xat bloklanmaydi, siz faqat ma'lumot to'playsiz. Bu bosqichning maqsadi domeningiz nomidan xat yuboradigan barcha tizimlarni aniqlashdir. Ko'pincha kompaniya rahbari faqat korporativ pochtani biladi, lekin hisobotlarni ochganda saytdagi aloqa formasi, buxgalteriya dasturi, onlayn-kassa, marketing tarqatma xizmati va hatto eski printer-skaner ham xat yuborayotgani ma'lum bo'ladi.
Hisobotlar uchun alohida pochta qutisi oching, chunki faol domenlarga kuniga o'nlab XML fayl kelishi mumkin. XML'ni qo'lda o'qish noqulay, shu sababli bepul yoki pullik DMARC tahlil xizmatlaridan foydalanish mumkin, ular ma'lumotni jadval va grafik ko'rinishida beradi. Agar hisobotlarni boshqa domendagi manzilga yubormoqchi bo'lsangiz, o'sha domenda ruxsat yozuvi bo'lishi shart, aks holda provayderlar hisobot yubormaydi:
example.uz._report._dmarc.analytics-domen.uz. IN TXT "v=DMARC1"Kuzatish bosqichini kamida ikki-to'rt hafta davom ettiring. Oylik hisob-fakturalar yoki choraklik tarqatmalar kabi kam uchraydigan xatlar ham hisobotga tushishi uchun bu muddat yetarli bo'lishi kerak.
Hisobotlarni o'qish va manbalarni tartibga keltirish
Hisobotdagi har bir manba uchun bitta savolga javob bering: bu xat qonuniymi? Agar qonuniy bo'lsa, u SPF yoki DKIM orqali o'tishi va domen mos kelishi kerak. DMARC uchun ikkalasidan bittasi moslik bilan o'tgani yetarli. Masalan, tarqatma xizmati xatni o'z serveridan yuborsa va DKIM imzosini o'z domeni bilan qo'ysa, imzo o'tadi, lekin moslik bo'lmaydi va DMARC xatoni ko'rsatadi. Yechim odatda xizmat sozlamalarida o'z domeningiz uchun DKIM kalitini yoqish va DNS'ga ular bergan CNAME yoki TXT yozuvni qo'shishdir.
| Manba | Odatiy muammo | Yechim |
|---|---|---|
| Hostingdagi korporativ pochta | DKIM yoqilmagan | Panelda DKIM yoqish, kalitni DNS'ga qo'shish |
| Saytdagi aloqa formasi | PHP mail() begona server nomidan yuboradi | SMTP autentifikatsiya orqali yuborishga o'tish |
| Tarqatma xizmati | DKIM xizmat domeni bilan imzolangan | Xizmatda o'z domeni uchun DKIM sozlash |
| Noma'lum IP manzillar | Domen nomidan soxta xat | Hech narsa qilmang, aynan shular bloklanadi |
Hisobotlarda notanish mamlakatlardagi IP manzillardan kelayotgan xatlarni ko'rsangiz, xavotirlanmang: bu aynan DMARC to'xtatishi kerak bo'lgan fishing urinishlari. Ularni tuzatish shart emas.
2-bosqich: quarantine va pct bilan ehtiyotkor o'tish
Qonuniy manbalarning deyarli barchasi o'tayotganini ko'rganingizdan keyin siyosatni quarantine ga ko'tarish mumkin. Ko'pchilik qabul qiluvchilar pct tegini qo'llab-quvvatlaydi, u siyosatni xatlarning faqat bir qismiga qo'llash imkonini beradi. Masalan, avval 25 foiz bilan boshlab, bir-ikki hafta kuzatib, keyin 50 va 100 foizga ko'tarish mumkin. Shuni yodda tutingki, DMARC standartining yangi tahririda bu teg qayta ko'rib chiqilmoqda, shuning uchun unga to'liq tayanmang va hisobotlarni kuzatishni davom ettiring.
_dmarc.example.uz. IN TXT "v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@example.uz"Agar xodim "mijozim xatimni spamda topdi" desa, o'sha xat qaysi tizimdan ketganini aniqlang va hisobotda tekshiring.
3-bosqich: p=reject va subdomenlar
Hisobotlar bir necha hafta davomida barqaror bo'lsa va qonuniy xatlarda muvaffaqiyatsizlik qolmasa, yakuniy qadam p=reject dir. Endi domeningiz nomidan soxta xat yuborgan firibgar xati qabul qiluvchi server tomonidan rad etiladi va mijozlaringiz qutisiga umuman tushmaydi. Subdomenlar uchun sp tegi alohida siyosat beradi. Xat yubormaydigan subdomenlar uchun qat'iy siyosat qo'yish, ayniqsa, foydali, chunki firibgarlar ko'pincha billing.example.uz kabi ishonchli ko'rinadigan nomlardan foydalanadi.
_dmarc.example.uz. IN TXT "v=DMARC1; p=reject; sp=reject; adkim=r; aspf=r; rua=mailto:dmarc@example.uz"Yozuvni o'zgartirgandan keyin uni tekshirib ko'ring. Quyidagi buyruqlar yozuv matnini qaytarishi kerak, agar natija bo'sh bo'lsa, DNS hali yangilanmagan yoki yozuv nomi noto'g'ri kiritilgan:
dig +short TXT _dmarc.example.uz
nslookup -type=TXT _dmarc.example.uzMisol: Toshkentdagi mebel do'koni
Tasavvur qiling, Toshkentdagi mebel do'koni o'z saytida onlayn buyurtma qabul qiladi, menejerlar korporativ pochtadan ishlaydi, har oy esa aksiyalar haqida tarqatma yuboriladi. Bir kuni mijozlar do'kon nomidan "to'lovni tasdiqlang" degan soxta xat olishadi. Do'kon p=none bilan boshlaydi va birinchi haftada hisobotlarda to'rt manba ko'rinadi: korporativ pochta, sayt, tarqatma xizmati va bir nechta xorijiy IP. Sayt formasi SMTP orqali yuborishga o'tkaziladi, tarqatma xizmatida DKIM sozlanadi. Bir oydan keyin quarantine, yana uch haftadan keyin reject qo'yiladi va soxta xatlar mijozlarga yetib bormay qoladi.
sayt.uz hostingida korporativ pochta uchun DKIM va SPF yozuvlarini kabinetdagi DNS bo'limi orqali qo'shish mumkin, DMARC yozuvi esa oddiy TXT yozuv sifatida xuddi shu yerda yaratiladi.
Ko'p uchraydigan xatolar
- Bir domenda ikkita DMARC yozuvi qoldirish: bunday holda qabul qiluvchilar yozuvni umuman e'tiborsiz qoldirishi mumkin.
- Kuzatish bosqichini o'tkazib yuborib, darhol
rejectqo'yish va qonuniy xatlarni yo'qotish. - Hisobot manzilini yozib, uni hech qachon ochmaslik:
p=noneabadiy qolib, hech qanday himoya bermaydi. - SPF yozuviga barcha xizmatlarni qo'shib, 10 ta DNS so'rov limitidan oshib ketish.
DMARC bir martalik sozlama emas. Yangi CRM, yangi tarqatma xizmati yoki boshqa server qo'shilganda hisobotlarda yangi manba paydo bo'ladi va uni ham to'g'ri sozlash kerak bo'ladi. Shu sababli hisobotlarni reject ga o'tgandan keyin ham vaqti-vaqti bilan ko'rib turing.